Die niederländische Autoriteit Persoonsgegevens (AP) verhängte im August 2024 eine Geldstrafe von 290 Millionen Euro gegen Uber wegen unbefugter Datenübertragung von Fahrerdaten zwischen der EU und den USA — die größte DSGVO-Strafe für einen Verstoß gegen die Datenübertragung in der Geschichte der EU. Zusammen mit über 21.400 Beschwerden, die 2023 bearbeitet wurden, hat sich die niederländische AP als eine der einflussreichsten Durchsetzungsbehörden Europas etabliert.
Die Uber-Strafe: Was die AP festgestellt hat
Uber sammelte persönliche Daten von niederländischen und französischen Uber-Fahrern — einschließlich Standortdaten, Kommunikation, Identitätsdokumente, Fahrprotokolle und Steuerinformationen. Diese Daten wurden ohne angemessene Übertragungsmechanismen auf die US-Server von Uber übertragen.
Die wichtigsten Feststellungen:
- Unzureichender Übertragungsmechanismus: Uber verließ sich auf Binding Corporate Rules (BCRs), die die AP als unzureichend für das Volumen und die Sensibilität der übertragenen Fahrerdaten ansah.
- Keine Transferauswirkungsbewertung: Uber versäumte es, eine TIA durchzuführen, die nachwies, dass das US-Recht die Übertragungsschutzmaßnahmen nicht untergräbt.
- Fahrerdaten sind sensibel: Standortdaten, Einkommensdaten und Leistungsbewertungen — in Kombination — ermöglichen eine umfassende Überwachung einzelner Fahrer. Die AP klassifizierte diese Kombination als gleichwertig mit sensiblen personenbezogenen Daten, die einen erhöhten Schutz erfordern.
Die Geldstrafe von 290 Millionen Euro ist die größte Geldstrafe für einen einzelnen grenzüberschreitenden Übertragungsverstoß in der Geschichte der Durchsetzung der EU. Sie stellt fest, dass Datenübertragungen von persönlichen Daten von Mitarbeitern/Vertragspartnern in die USA die gleichen strengen TIA und ergänzenden Maßnahmen erfordern wie Übertragungen von Verbraucherdaten.
Die Durchsetzungsprioritäten der niederländischen AP im Jahr 2025
Die AP hat ihre Schwerpunkte für die Durchsetzung im Jahr 2025 veröffentlicht:
Mitarbeiterüberwachung (43% der Fälle): Technologien zur Überwachung von Remote-Arbeit — Produktivitätsverfolgung, Bildschirmaufnahme, Tastatureingabeprotokollierung, Standortüberwachung von Remote-Mitarbeitern — bleiben das Hauptziel der Durchsetzung der niederländischen AP. Die AP verlangt eine Dokumentation der Verhältnismäßigkeit für jede Mitarbeiterüberwachung: weniger invasive Alternativen müssen in Betracht gezogen und dokumentiert werden, bevor Überwachungstechnologien implementiert werden.
Grenzüberschreitende Datenübertragungen (31% der Fälle): Nach Uber prüft die AP die Übertragungsmechanismen für niederländische Unternehmen mit US-, asiatischen und nicht angemessenen Ländern. Unternehmen, die US-SaaS-Tools für HR, Projektmanagement oder Kundendaten verwenden, müssen aktualisierte TIAs haben.
Automatisierte Entscheidungsfindung (26% der Fälle): Automatisierte Kreditwürdigkeitsprüfungen, algorithmusbasierte Einstellungsüberprüfungen und KI-gesteuerte Leistungsbewertungen schaffen Verpflichtungen gemäß Artikel 22. Die Durchsetzung der niederländischen AP konzentriert sich auf Organisationen, die algorithmische Entscheidungen treffen, die niederländische Mitarbeiter oder Verbraucher betreffen, ohne angemessene menschliche Überprüfungsmechanismen.
Das BSN: Die primäre Kennung der Niederlande
Die Burgerservicenummer (BSN) ist die 9-stellige Bürgerdienstnummer der Niederlande, die den Elfproef (elf-probe) Validierungsalgorithmus verwendet — eine gewichtete Summenmodulus-11-Prüfung.
Der Elfproef: Multiplizieren Sie jede Ziffer mit einem abnehmenden Gewicht (9, 8, 7, 6, 5, 4, 3, 2, -1), summieren Sie die Produkte, und das Ergebnis muss durch 11 teilbar sein.
Das BSN gehört zu den rechtlich am besten geschützten Identifikatoren in den Niederlanden — das BSN-Gesetz (Wet algemene bepalingen burgerservicenummer) beschränkt die Verwendung auf spezifische autorisierte Kontexte (Steuern, Gesundheitswesen, Regierungsdienste, Arbeitgeberabrechnung). Organisationen, die BSN außerhalb autorisierter Kontexte verarbeiten, sehen sich spezifischen Durchsetzungsmaßnahmen der AP gemäß dem BSN-Gesetz zusätzlich zur DSGVO gegenüber.
Das Erkennungsproblem: 56% der generischen NLP-Tools können BSN-Nummern nicht korrekt validieren (technische Bewertung der AP). Ohne die Implementierung des Elfproef:
- Jede 9-stellige Zahl wird als potenzielles BSN markiert — was massive Fehlalarme in finanziellen und administrativen Dokumenten erzeugt.
- Transponierte oder fehlerhafte BSNs (häufig bei manueller Dateneingabe) werden übersehen, da sie den Elfproef nicht bestehen, aber dem 9-stelligen Format entsprechen.
Anforderungen an die niederländische NER
Das Niederländische (Nederlands) hat spezifische sprachliche Merkmale, die für die PII-Erkennung relevant sind:
Zusammengesetzte Wörter: Das Niederländische kombiniert Wörter umfangreich — "persoonsgegevens" (personenbezogene Daten), "Burgerservicenummer" (Bürgerdienstnummer). NLP-Tokenizer, die auf Englisch oder anderen analytischen Sprachen trainiert wurden, tokenisieren niederländische Zusammensetzungen oft falsch.
Diminutive: Das Niederländische verwendet häufig diminutive Formen (-je, -tje-Endungen) für Namen — "Annetje," "Hansje." Namensanerkennungsmodelle müssen sowohl Basisformen als auch Diminutive verarbeiten.
Niederländische Adressformate: "Straat," "Laan," "Weg," "Plein," "Gracht" für Straßentypen. Postleitzahlenformat: 4 Ziffern + 2 Buchstaben (z.B. 1234 AB). Niederländische Postleitzahlen sind sehr spezifisch (einzelne Straßen) — identifizierender als deutsche oder britische Postleitzahlen.
IBAN NL-Format: Niederländische IBANs beginnen mit NL + 2 Prüfziffern + 4-Buchstaben-Bankcode + 10-stelligem Kontonummer. Die Niederlande haben eine der höchsten Durchdringungsraten für kontaktloses Bezahlen in Europa, was bedeutet, dass niederländische Finanzdokumente reich an IBAN-Nummern sind.
Für die Einhaltung der niederländischen AP: BSN-Erkennung mit Elfproef-Validierung, niederländische NER (spaCy nl_core_news), niederländische IBAN-Erkennung und dokumentiertes Subprozessmanagement für grenzüberschreitende Übertragungen sind die technische Grundlage. Nach Uber sind Transferauswirkungsbewertungen für US-Anbieterbeziehungen nicht mehr optional — sie sind aktive Prüfziele der AP.
Quellen: